IPsec에 추가된 Suite B 암호화 알고리즘에 대한 지원에 대한 설명

이 문서에서는 IPsec에 추가된 Suite B 암호화 알고리즘에 대한 지원을 설명합니다.

적용 대상: Windows Server 2012 R2, Windows 7 서비스 팩 1
원본 KB 번호: 949856

Windows Vista SP1(서비스 팩 1)에 대한 지원은 2011년 7월 12일에 종료됩니다. Windows용 보안 업데이트를 계속 받으려면 SP2(서비스 팩 2)를 사용하여 Windows Vista를 실행하고 있는지 확인합니다. 자세한 내용은 일부 버전의 Windows에 대한 지원이 종료됨을 참조하세요.

소개

이 문서에서는 Windows Vista SP1(서비스 팩 1) 및 Windows Server 2008에 추가된 Suite B 암호화 알고리즘에 대한 지원을 설명합니다. Suite B는 미국 NSA(국가보안국)의 승인을 받은 암호화 알고리즘 그룹입니다.

Suite B는 중요한 데이터를 보호하기 위한 상호 운용 가능한 암호화 프레임워크로 사용됩니다. 지원은 다음 영역에 대한 Suite B 알고리즘으로 확장되었습니다.

• 기본 모드
• 빠른 모드
• 인증 설정

이 문서에서는 Suite B 알고리즘을 사용하는 IPsec(인터넷 프로토콜 보안) 정책 구성 구문도 설명합니다.

추가 정보

지원 제한 사항

Suite B에 대한 지원 제한 사항에는 다음이 포함됩니다.

• Suite B 알고리즘을 사용하여 IPsec 정책을 만들고 적용하는 기능은 Windows Vista SP1(서비스 팩 1), Windows Server 2008 또는 이후 버전의 Windows에서만 지원됩니다.
• Suite B 알고리즘을 포함하는 정책 작성은 Windows 7 이상 버전의 Windows용 "고급 보안이 포함된 Windows 방화벽" MMC(Microsoft Management Console) 스냅인을 통해 지원됩니다.
• Netsh advfirewall 도움말 명령은 Suite B 알고리즘에 대한 구성 옵션을 표시하지 않습니다. 이는 Windows Vista SP1에만 적용됩니다.

정의

• Suite B

Suite B는 NSA(국가보안국)에서 지정한 표준 집합입니다. Suite B는 업계에 가장 광범위한 미국 정부의 요구를 충족하는 제품을 만드는 데 사용할 수 있는 일반적인 암호화 알고리즘 집합을 제공합니다. Suite B에는 다음과 같은 유형의 알고리즘 사양이 포함되어 있습니다.

• 무결성
• 암호화
• 키 교환
• 디지털 서명
• FIPS(Federal Information Processing Standard)

FIPS는 연방 컴퓨팅 리소스를 제어하는 일련의 지침 및 표준입니다. 모든 Suite B 알고리즘은 FIPS 승인입니다.

자세한 내용은 정보 기술 연구소를 참조하세요.

• Nist

  이것은 국립 표준 기술 연구소의 약어입니다.

• 데이터 무결성 알고리즘

  데이터 무결성 알고리즘은 메시지 해시를 사용하여 전송 중에 정보가 변경되지 않도록 합니다.

• 데이터 암호화 알고리즘

  데이터 암호화 알고리즘은 전송되는 정보를 숨기는 데 사용됩니다. 암호화 알고리즘은 일반 텍스트를 비밀 코드로 변환하는 데 사용됩니다.

  예를 들어 암호화 알고리즘은 일반 텍스트를 암호 텍스트로 변환할 수 있습니다. 그런 다음 암호 텍스트를 원래 일반 텍스트로 디코딩할 수 있습니다. 각 알고리즘은 "키"를 사용하여 변환을 수행합니다. 키 형식과 키의 길이는 사용 중인 알고리즘에 따라 달라집니다.

• IPsec

  이는 "인터넷 프로토콜 보안"이라는 용어의 약어입니다.

  IPsec에 대한 자세한 내용은 IPSec이란?을 참조하세요.

• ECDSA(타원 곡선 디지털 서명 알고리즘)

  EC(타원 곡선)는 EC 그룹에서 작동하는 디지털 서명 알고리즘의 변형입니다. EC 변형은 동일한 보안 수준에 대해 더 작은 키 크기를 제공합니다.

  이 알고리즘은 FIPS 게시 186-2에 설명되어 있습니다. 이 발행물을 보려면 DSS(디지털 서명 표준)를 참조하세요.

• CA(인증 기관)

  인증 기관은 디지털 인증서를 발급하는 엔터티입니다. IPsec은 이러한 인증서를 인증 방법으로 사용할 수 있습니다.

• 인증 헤더(AH)

  인증 헤더는 전체 패킷에 대한 인증, 무결성 및 재생 방지 기능을 제공하는 IPsec 프로토콜입니다. 여기에는 IP 헤더 및 데이터 페이로드가 포함됩니다.

  AH는 기밀성을 제공하지 않습니다. 즉, AH는 데이터를 암호화하지 않습니다. 데이터는 읽을 수 있지만 작성할 수 없습니다.

• ESP(보안 페이로드) 캡슐화

  ESP는 기밀성, 인증, 무결성 및 재생 방지 기능을 제공하는 IPsec 프로토콜입니다. ESP는 단독으로 사용하거나 AH와 함께 사용할 수 있습니다.

기본 모드 알고리즘

Windows Vista SP1 및 Windows Server 2008에서는 Windows Vista 릴리스 버전에서 이미 지원되는 알고리즘 외에도 다음과 같은 무결성 알고리즘이 지원됩니다.

• SHA-256
• SHA-384

빠른 모드 알고리즘

Windows Vista SP1 및 Windows Server 2008에서는 Windows Vista 릴리스 버전에서 이미 지원되는 알고리즘 외에도 다음 알고리즘이 지원됩니다.

무결성(AH 또는 ESP)

• SHA-256
• AES-GMAC-128
• AES-GMAC-192
• AES-GMAC-256

무결성 및 암호화(ESP에만 해당)

• AES-GCM-128
• AES-GCM-192
• AES-GCM-256

지원되고 지원되지 않는 AH 및 ESP 조합에 대한 자세한 내용은 "지원되고 지원되지 않는 빠른 모드 암호화 알고리즘 조합" 섹션을 참조하세요.

빠른 모드에 대한 제한 사항

• AH 및 ESP 모두에 동일한 무결성 알고리즘을 사용해야 합니다.
• AES-GMAC 알고리즘은 null 암호화가 있는 무결성 알고리즘에 사용할 수 있습니다. 따라서 ESP 무결성에 대해 이러한 알고리즘이 지정된 경우 암호화 알고리즘을 지정할 수 없습니다.
• AES-GCM 알고리즘을 사용하는 경우 ESP 무결성 및 암호화에 대해 동일한 알고리즘을 지정해야 합니다.

인증

Windows Vista SP1 및 Windows Server 2008에서는 Windows Vista 릴리스 버전에서 이미 지원되는 인증 방법 외에도 다음 인증 방법이 지원됩니다.

• ECDSA-P256 서명이 있는 컴퓨터 인증서
• ECDSA-P384 서명이 있는 컴퓨터 인증서>

Windows Vista의 기본 인증 방법은 RSA SecurId 인증입니다.

구문 및 예제

이 섹션에서는 Netsh advfirewall 명령을 사용하여 연결 보안 규칙을 추가하고 수정하는 구문을 설명합니다. 이 섹션에서는 Netsh advfirewall 명령의 예제도 제공합니다.

연결 보안 규칙 추가

Netsh advfirewall
Usage: add rule name=<string>
 endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>
 endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>
 action=requireinrequestout|requestinrequestout|
 requireinrequireout|noauthentication
 [description=<string>]
 [mode=transport|tunnel (default=transport)]
 [enable=yes|no (default=yes)]
 [profile=public|private|domain|any[,...] (default=any)]
 [type=dynamic|static (default=static)]
 [localtunnelendpoint=<IPv4 address>|<IPv6 address>]
 [remotetunnelendpoint=<IPv4 address>|<IPv6 address>]
 [port1=0-65535|any (default=any)]
 [port2=0-65535|any (default=any)]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any (default=any)]
 [interfacetype=wiresless|lan|ras|any (default=any)]
 [auth1=computerkerb|computercert|computercertecdsap256|computercertecdsap384|computerpsk|
 computerntlm|anonymous[,...]]
 [auth1psk=<string>]
 [auth1ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1healthcert=yes|no (default=no)]
 [auth1ecdsap256ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap256healthcert=yes|no (default=no)]
 [auth1ecdsap384ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap384healthcert=yes|no (default=no)]
 [auth2=computercert| computercertecdsap256|computercertecdsap384|userkerb|usercert| usercertecdsap256|usercertecdsap384|userntlm|anonymous[,...]]
 [auth2ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap256ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap384ca="<CA Name> [certmapping:yes|no] ..."]
 [qmpfs=dhgroup1|dhgroup2|dhgroup14|ecdhp256|ecdhp384|mainmode|
 none (default=none)]
 [qmsecmethods=
 ah:<integrity>+esp:<integrity>-<encryption>+[valuemin]+[valuekb]
 |default]

Remarks:

- The rule name should be unique, and it cannot be "all."
 - When mode=tunnel, both tunnel endpoints must be specified and must be
 the same IP version. Also, the action must be requireinrequireout.
 - At least one authentication must be specified.
 - Auth1 and auth2 can be comma-separated lists of options.
 - The "computerpsk" and "computerntlm" methods cannot be specified together
 for auth1.
 - Computercert cannot be specified with user credentials for auth2.
 - Certsigning options ecdsap256 and ecdsap384 are supported only on Windows Vista SP1 and on later versions of Windows Vista.
 - Qmsecmethods can be a list of proposals separated by a comma (,).
 - For qmsecmethods, integrity=md5|sha1|sha256| aesgmac128|aesgmac192|aesgmac256|aesgcm128|aesgcm192|aesgcm256 and
 encryption=3des|des|aes128|aes192|aes256|aesgcm128|aesgcm192|aesgcm256.
 - If aesgcm128, aesgcm192, or aesgcm256 is specified, it must be used for both ESP integrity and encryption. 
 - sha-256, aesgmac128, aesgmac192, aesgmac256, aesgcm128, aesgcm192, aesgcm256 are supported only on Windows Vista SP1 and on later versions of Windows Vista. 
 - Qmpfs=mainmode uses the main mode key exchange setting for PFS.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The default value for certmapping and for excludecaname is "no."
 - The quotation mark (") characters in the CA name must be replaced with a backslash character followed by a single quotation mark (\').

예 1

Netsh advfirewall 명령의 다음 예제를 고려합니다.
Netsh advfirewall consec add rule name=test1 endpoint1=any endpoint2=any action=requestinrequestout description="use ECDSA256 certificate and AESGMAC256" auth1=computercert,computercertecdsap256 auth1ca="C=US, O=MSFT, CN='Microsoft North, South, East 및 West Root Authority'" auth1healthcert=no auth1ecdsap256ca="C=US, O=MSFT, CN='Microsoft North, South, East 및 West Root Authority'" auth1ecdsap256healthcert=yes qmsecmethods=ah: aesgmac256+esp:aesgmac256-none

이 명령은 인증 집합에 다음 인증 방법이 있는 연결 보안 규칙을 만듭니다.

• 첫 번째 인증 방법은 RSA 인증서 서명을 사용하는 인증서입니다.
• 두 번째 인증 방법은 인증서 서명에 ECDSA256 사용하는 상태 인증서입니다.
• 연결 보안 규칙은 새 AES-GMAC 256 알고리즘과 함께 AH 및 ESP 무결성을 사용하여 트래픽을 보호합니다. 규칙에는 암호화가 포함되지 않습니다.

예 2

Netsh advfirewall 명령의 다음 예제를 고려합니다.
Netsh advfirewall consec add rule name=test2 endpoint1=any endpoint2=any action=requestinrequestout description="Use SHA 256 for Integrity and AES192 for encryption" auth1=computercert auth1ca="C=US, O=MSFT, CN='Microsoft North, South, East 및 West Root Authority'" auth1healthcert=no qmsecmethods=ah:sha256+esp:sha256-aes192

이 명령은 인증 집합에 하나의 인증 방법이 있는 연결 보안 규칙을 만듭니다. 인증 방법은 RSA 인증서 서명을 사용하는 인증서입니다.

연결 보안 규칙은 무결성을 위해 SHA256에서 AH 및 ESP 무결성을 사용하고 암호화를 위해 AES192를 사용하여 트래픽을 보호합니다.

기존 연결 보안 규칙 수정

Netsh advfirewall
Usage: set rule
 group=<string> | name=<string>
 [type=dynamic|static]
 [profile=public|private|domain|any[,...] (default=any)]
 [endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [port1=0-65535|any]
 [port2=0-65535|any]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any]
 new
 [name=<string>]
 [profile=public|private|domain|any[,...]]
 [description=<string>]
 [mode=transport|tunnel]
 [endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [action=requireinrequestout|requestinrequestout|
 requireinrequireout|noauthentication]
 [enable=yes|no]
 [type=dynamic|static]
 [localtunnelendpoint=<IPv4 address>|<IPv6 address>]
 [remotetunnelendpoint=<IPv4 address>|<IPv6 address>]
 [port1=0-65535|any]
 [port2=0-65535|any]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any]
 [interfacetype=wiresless|lan|ras|any]
 [auth1=computerkerb|computercert|computercertecdsap256|computercertecdsap384|computerpsk|
 computerntlm|anonymous[,...]]
 [auth1psk=<string>]
 [auth1ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1healthcert=yes|no (default=no)]
 [auth1ecdsap256ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap256healthcert=yes|no (default=no)]
 [auth1ecdsap384ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap384healthcert=yes|no (default=no)]
 [auth2=computercert| computercertecdsap256|computercertecdsap384|userkerb|usercert| usercertecdsap256|usercertecdsap384|userntlm|anonymous[,...]]
 [auth2ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap256ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap384ca="<CA Name> [certmapping:yes|no] ..."]
 [qmsecmethods=
 ah:<integrity>+esp:<integrity>-<encryption>+[valuemin]+[valuekb]|
 default]

Remarks:

- This sets a new parameter value on an identified rule. The command fails
 if the rule does not exist. To create a rule, use the "add" command.
 - Values after the new keyword are updated in the rule. If there are
 no values, or if the "new" keyword is missing, no changes are made.
 - Only a group of rules can be enabled or disabled.
 - If multiple rules match the criteria, all matching rules are 
 updated.
 - The rule name should be unique, and it cannot be "all."
 - Auth1 and auth2 can be comma-separated lists of options.
 - The computerpsk and computerntlm methods cannot be specified together
 for auth1.
 - Computercert cannot be specified by using user credentials for auth2.
 - Certsigning options ecdsap256 and ecdsap384 are supported only on Windows Vista SP1 and on later versions of Windows Vista. 
 - Qmsecmethods can be a list of proposals that are separated by a comma (,).
 - For qmsecmethods, integrity=md5|sha1|sha256| aesgmac128|aesgmac192|aesgmac256|aesgcm128|aesgcm192|aesgcm256 and
 encryption=3des|des|aes128|aes192|aes256|aesgcm128| aesgcm192|aesgcm256
 - If aesgcm128 or aesgcm256 is specified, it must be used for both ESP integrity and for encryption. 
 - Sha-256, aesgmac128, aesgmac192, aesgmac256, aesgcm128, aesgcm192, and aesgcm256 are supported only on Windows Vista SP1 and on later versions of Windows Vista.
 - If qmsemethods are set to "default," qmpfs will be set to "default" also.
 - Qmpfs=mainmode uses the main mode key exchange setting for PFS.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The default value for "certmapping" and "excludecaname" is "no."
 - The quotation mark (") characters in the CA name must be replaced with a backslash character followed by a single quotation mark (\').

다음은 이전 섹션의 "예제 1"에서 만든 규칙을 업데이트하는 명령의 예입니다. Netsh advfirewall consec set rule name=test new qmsecmethods=ah:aesgmac256 +esp:aesgcm256-aesgcm256 이 명령은 ESP 무결성 및 암호화에 AES-GCM 256을 사용하고 AH 무결성에 AES-GMAC 256을 사용하도록 규칙을 업데이트합니다.

전역 기본 모드 설정

다음 도움말 텍스트는 Netsh advfirewall set global 명령에 대한 것입니다.

netsh advfirewall>set global

Usage: set global statefulftp|statefulpptp enable|disable|notconfigured
 set global IPsec (parameter) (value)
 set global mainmode (parameter) (value) | notconfigured

IPsec Parameters:

strongcrlcheck - Configures how CRL checking is enforced.
 0: Disable CRL checking
 1: Fail if cert is revoked and the CRL exists in the client's CRL cache (default behavior)and the CRL exists in the client's CRL cache (default behavior) 2: Fail on any error
 notconfigured: Returns the value to its unconfigured state.
 saidletimemin - Configures the security association idle time in
 minutes.
 - Usage: 5-60|notconfigured (default=5)
 defaultexemptions - Configures the default IPsec exemptions. The default is
 to exempt IPv6 neighbordiscovery protocol from
 IPsec.
 - Usage: none|neighbordiscovery|notconfigured

Main Mode Parameters:

mmkeylifetime - Sets the main mode key lifetime in minutes, in sessions, or in both.
 - Usage: <num>min,<num>sess
 mmsecmethods - Configures the main mode list of proposals
 - Usage:
 keyexch:enc-integrity,enc-integrity[,...]|default
 - keyexch=dhgroup1|dhgroup2|dhgroup14|
 ecdhp256|ecdhp384
 - enc=3des|des|aes128|aes192|aes256
 - integrity=md5|sha1|sha256|sha384

Remarks:

- This configures global settings, such as advanced IPsec options.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The mmsecmethods keyword default sets the policy to the following:
 dhgroup2-aes128-sha1,dhgroup2-3des-sha1
 - Sha256 and sha384 are supported only on Windows Vista SP1 and on later versions of Windows Vista.

다음은 기본 모드 암호화 집합의 새 SHA 알고리즘을 사용하는 명령의 예입니다. Netsh advfirewall set global mainmode mmsecmethods dhgroup1:3des-sha256, 3des-sha384

문제 해결, 구성 및 확인 명령

"Netsh advfirewall consec show rule all" 명령

Netsh advfirewall consec show 규칙 모든 명령은 모든 연결 보안 규칙에 대한 구성을 표시합니다.

다음은 이 명령에 대한 출력 샘플입니다.

Rule Name:test
Enabled:Yes
Profiles:Domain,Private,Public
Type:Static
Mode:Transport
Endpoint1:Any
Endpoint2:Any
Protocol:Any
Action:RequestInRequestOut
Auth1:ComputerPSK
Auth1PSK: 12345
MainModeSecMethods ECDHP384-3DES-SHA256,ECDHP384-3DES-SHA384
QuickModeSecMethodsAH:AESGMAC256+ESP:AESGCM256-AESGCM256+60 min+100000kb

"Netsh advfirewall monitor show mmsa" 명령

Netsh advfirewall monitor show mmsa 명령은 기본 모드 보안 연결을 표시합니다.

다음은 이 명령에 대한 출력 샘플입니다.

Main Mode SA at 01/04/2008 13:10:09
Local IP Address:157.59.24.101
Remote IP Address: 157.59.24.119
My ID:
Peer ID:
First Auth:ComputerPSK
Second Auth:None
MM Offer: ECDHAP384-3DES-SHA256
Cookie Pair:203d57505:5d088705
Health Pair:No
Ok.

"Netsh advfirewall monitor show qmsa" 명령

Netsh advfirewall monitor show qmsa 명령은 빠른 모드 보안 연결을 표시합니다.

다음은 이 명령에 대한 출력 샘플입니다.

Main Mode SA at 01/04/2008 13:10:09
Local IP Address:157.59.24.101
Remote IP Address: 157.59.24.119
Local Port:Any
Remote Port:Any
Protocol:Any
Direction:Both
QM Offer: AH:AESGMAC256+ESP:AESGCM256-AESGCM256+60min +100000kb
Ok.

"Netsh advfirewall show global" 명령

Netsh advfirewall show global 명령은 전역 설정을 표시합니다.

다음은 이 명령에 대한 출력 샘플입니다.

Global Settings:
IPsec:
StrongCRLCheck0:Disabled
SAIdleTimeMin5min
DefaultExemptions NeighborDiscovery
IPsecThroughNAT Server and client behind NAT

StatefulFTPEnable
StatefulPPTPEnable

Main Mode:
KeyLifetime2min,0sess
SecMethodsDHGroup1-3DES-SHA256,DHGroup1-3DES-SHA384

상호 운용성

Suite B 알고리즘을 사용하는 IPsec 정책의 생성, 적용 및 관리는 Windows Vista SP1 및 Windows Server 2008에서 도입되었습니다. Windows Vista SP1 또는 Windows Server 2008에서 릴리스된 도구를 사용해야만 Suite B 알고리즘이 포함된 그룹 정책 관리할 수 있습니다.

샘플 시나리오 및 예상 결과는 다음과 같습니다.

시나리오 1

새 암호화 알고리즘을 사용하여 Windows Server 2008 또는 Windows Vista SP1을 실행하는 컴퓨터에서 만든 정책을 Windows Vista 릴리스 버전을 실행하는 컴퓨터에 적용합니다.

예상 결과

규칙에 새 암호화 알고리즘을 사용하는 암호화 도구 모음이 포함된 경우 이러한 암호화 도구 모음이 삭제되고 암호화 집합의 다른 암호화 도구 모음이 대신 사용됩니다.

규칙의 암호화 도구 모음이 인식되지 않으면 전체 규칙이 삭제됩니다. 규칙을 처리할 수 없음을 나타내는 이벤트가 기록됩니다. 따라서 키 교환 암호화 집합의 모든 암호화 도구 모음이 삭제되면 정책의 연결 보안 규칙이 적용되지 않습니다. 그러나 모든 방화벽 규칙은 여전히 적용됩니다.

인증 집합 프로세스는 암호화 집합 프로세스와 유사합니다. 새 인증서 플래그(ECDSA-P256 또는 ECDSA-P384)가 포함된 정책이 Windows Vista 릴리스 버전을 실행하는 컴퓨터에 적용되는 경우 인증 방법이 삭제됩니다.

이러한 이유로 첫 번째 인증 집합의 모든 인증 방법이 삭제되면 전체 규칙이 처리되지 않습니다. 두 번째 인증 집합의 모든 인증 방법을 삭제하면 첫 번째 인증 집합만 사용하여 규칙이 처리됩니다.

시나리오 2

Windows Vista 릴리스 버전을 실행하는 컴퓨터에서는 새 암호화 알고리즘을 사용하여 Windows Server 2008 또는 Windows Vista SP1을 실행하는 컴퓨터에서 만든 정책을 볼 수 있습니다.

예상 결과

새 알고리즘은 Windows 방화벽 고급 보안 MMC 스냅인의 모니터링 및 제작 부분 모두에서 "알 수 없음"으로 표시됩니다. Netsh advfirewall 명령은 Windows Vista에서 알고리즘을 "알 수 없음"으로 표시합니다.

상호 운용성에 대한 제한 사항

상호 운용성에 대한 제한은 다음과 같습니다.

• 릴리스 버전의 Windows Vista를 실행하는 컴퓨터에서 Windows Vista SP1 또는 Windows Server 2008을 실행하는 컴퓨터에서 Suite B 알고리즘을 사용하는 정책의 원격 관리는 지원되지 않습니다.
• Windows Vista SP1 또는 Windows Server 2008을 실행하는 컴퓨터에서 만든 정책을 Windows Vista 릴리스 버전을 실행하는 컴퓨터로 가져오면 정책의 일부가 삭제됩니다. 이는 Windows Vista 릴리스 버전에서 새 알고리즘을 인식할 수 없기 때문에 발생합니다.

지원되고 지원되지 않는 빠른 모드 암호화 알고리즘 조합

다음 표에서는 지원되는 빠른 모드 암호화 알고리즘 조합을 보여 줍니다.

다음 표에 설명된 조합은 지원되지 않습니다.

Suite B에 대한 자세한 내용은 상업용 국가 안보 알고리즘 제품군을 참조하세요.

IPsec 및 연결 보안 규칙에 대한 자세한 내용은 고급 보안 및 IPsec을 사용하여 Windows 방화벽을 참조하세요.